maride/hacktricks
1
0
Fork 0
mirror of https://github.com/HackTricks-wiki/hacktricks.git synced 2025-10-10 18:36:50 +00:00
Code Issues Packages Projects Releases Wiki Activity

Translated ['src/generic-methodologies-and-resources/basic-forensic-meth

Browse Source
This commit is contained in:
Translator 2025-08-19 16:58:49 +00:00
parent fc2af2cade
commit 534f87005f
1 changed files with 8 additions and 13 deletions
Show Stats Download Patch File Download Diff File Expand all files Collapse all files

21
src/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md
View File

@ -16,7 +16,7 @@ sha256sum disk.img > disk.img.sha256
``` ```
### dc3dd / dcfldd ### dc3dd / dcfldd
`dc3dd`, dcfldd'nin (DoD Bilgisayar Adli Tıp Laboratuvarı dd) aktif olarak bakım yapılan bir çatallamasıdır. `dc3dd`, dcfldd'nin (DoD Bilgisayar Adli Tıp Laboratuvarı dd) aktif olarak bakımı yapılan bir çatallamasıdır.
```bash ```bash
# Create an image and calculate multiple hashes at acquisition time # Create an image and calculate multiple hashes at acquisition time
sudo dc3dd if=/dev/sdc of=/forensics/pc.img hash=sha256,sha1 hashlog=/forensics/pc.hashes log=/forensics/pc.log bs=1M sudo dc3dd if=/dev/sdc of=/forensics/pc.img hash=sha256,sha1 hashlog=/forensics/pc.hashes log=/forensics/pc.log bs=1M
@ -42,7 +42,7 @@ velociraptor --config server.yaml frontend collect --artifact Windows.Disk.Acqui
``` ```
### FTK Imager (Windows & Linux) ### FTK Imager (Windows & Linux)
FTK Imager'ı [indirebilirsiniz](https://accessdata.com/product-download) ve **raw, E01 veya AFF4** görüntüleri oluşturabilirsiniz: FTK Imager'ı [indirebilirsiniz](https://accessdata.com/product-download) ve **ham, E01 veya AFF4** görüntüleri oluşturabilirsiniz:
```bash ```bash
ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 \ ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 \
--description 'Laptop seizure 2025-07-22' --examiner 'AnalystName' --compress 6 --description 'Laptop seizure 2025-07-22' --examiner 'AnalystName' --compress 6
@ -51,19 +51,14 @@ ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 \
```bash ```bash
sudo ewfacquire /dev/sdb -u evidence -c 1 -d "Seizure 2025-07-22" -e 1 -X examiner --format encase6 --compression best sudo ewfacquire /dev/sdb -u evidence -c 1 -d "Seizure 2025-07-22" -e 1 -X examiner --format encase6 --compression best
``` ```
### Imaging Cloud Disks ### Bulut Disklerinin Görüntülenmesi
*AWS* – örneği kapatmadan **adli anlık görüntü** oluşturun: *AWS* – örneği kapatmadan **adli anlık görüntü** oluşturun:
```bash ```bash
aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web-server 2025-07-22" aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web-server 2025-07-22"
# Copy the snapshot to S3 and download with aws cli / aws snowball # Copy the snapshot to S3 and download with aws cli / aws snowball
``` ```
*Azure* – `az snapshot create` komutunu kullanın ve bir SAS URL'sine dışa aktarın. HackTricks sayfasına bakın: *Azure* – `az snapshot create` komutunu kullanın ve bir SAS URL'sine aktarın.
{{#ref}}
../../cloud/azure/azure-forensics.md
{{#endref}}
## Mount ## Mount
@ -73,7 +68,7 @@ aws ec2 create-snapshot --volume-id vol-01234567 --description "IR-case-1234 web
2. Sadece bir hacme ihtiyacınız olduğunda **tek bir bölüm dosyasını** bağlayın. 2. Sadece bir hacme ihtiyacınız olduğunda **tek bir bölüm dosyasını** bağlayın.
3. Her zaman **salt okunur** (`-o ro,norecovery`) olarak bağlayın ve **kopyalar** üzerinde çalışın. 3. Her zaman **salt okunur** (`-o ro,norecovery`) olarak bağlayın ve **kopyalar** üzerinde çalışın.
### Ham görüntüler (dd, AFF4 çıkarılmış) ### Ham görüntüler (dd, AFF4-çıkarılmış)
```bash ```bash
# Identify partitions # Identify partitions
fdisk -l disk.img fdisk -l disk.img
@ -123,16 +118,16 @@ sudo mount -o ro /mnt/bitlocker/dislocker-file /mnt/evidence
``` ```
### kpartx yardımcıları ### kpartx yardımcıları
`kpartx`, bir görüntüden bölümleri otomatik olarak `/dev/mapper/`'a haritalar: `kpartx`, bir görüntüden bölümleri otomatik olarak `/dev/mapper/`'a eşler:
```bash ```bash
sudo kpartx -av disk.img # creates /dev/mapper/loop0p1, loop0p2 … sudo kpartx -av disk.img # creates /dev/mapper/loop0p1, loop0p2 …
mount -o ro /dev/mapper/loop0p2 /mnt mount -o ro /dev/mapper/loop0p2 /mnt
``` ```
### Yaygın montaj hataları ve çözümleri ### Yayınlama hataları ve çözümleri
| Hata | Tipik Sebep | Çözüm | | Hata | Tipik Sebep | Çözüm |
|-------|---------------|-----| |-------|---------------|-----|
| `cannot mount /dev/loop0 read-only` | Journaled FS (ext4) düzgün bir şekilde çıkarılmadı | `-o ro,norecovery` kullanın | | `cannot mount /dev/loop0 read-only` | Journaled FS (ext4) düzgün bir şekilde çıkarılmamış | `-o ro,norecovery` kullanın |
| `bad superblock …` | Yanlış offset veya hasarlı FS | offset'i hesaplayın (`sector*size`) veya bir kopya üzerinde `fsck -n` çalıştırın | | `bad superblock …` | Yanlış offset veya hasarlı FS | offset'i hesaplayın (`sector*size`) veya bir kopya üzerinde `fsck -n` çalıştırın |
| `mount: unknown filesystem type 'LVM2_member'` | LVM konteyneri | `vgchange -ay` ile hacim grubunu etkinleştirin | | `mount: unknown filesystem type 'LVM2_member'` | LVM konteyneri | `vgchange -ay` ile hacim grubunu etkinleştirin |